Crédit Mutuel Arkéa : attaque via un prestataire, jusqu'à 118 M€ évoqués

Le 4 novembre 2026, Crédit Mutuel Arkéa a reconnu avoir été la cible d’une cyberattaque. D’après BleepingComputer, qui a fait le point sur l’affaire le 7 novembre, l’intrusion aurait permis des transactions frauduleuses pouvant atteindre 118 millions d’euros, soit 133 millions de dollars, et a conduit la banque à suspendre certains de ses systèmes. Ces éléments reposent à ce stade sur cette source unique et sur les communications de la banque qu’elle rapporte.

Une intrusion par la plateforme d’un prestataire

Ce groupe bancaire coopératif compte plus de 5,8 millions de sociétaires et 211,5 milliards d’euros d’actifs. Dans une foire aux questions, il explique que l’attaquant a atteint son réseau directement par la plateforme d’un prestataire de services. La banque a écarté toute implication de Fortuneo.

Une fois dans le réseau, l’attaquant ne s’en est pas pris aux comptes des clients. Il a utilisé le compte propre d’Arkéa pour émettre des transactions vers d’autres établissements bancaires, puis convertir les fonds en cryptomonnaies. La banque exclut une erreur humaine de sa part et parle d’une attaque sophistiquée. Elle travaille avec les autorités judiciaires et la police pour établir l’origine exacte de l’attaque et son mode opératoire.

Un montant que la banque ne confirme pas

Les premiers signalements sont apparus le 2 novembre, sans que l’établissement soit nommé. ZachXBT, enquêteur spécialisé dans les fraudes sur la blockchain, décrivait alors un retrait non autorisé de grande ampleur, survenu la veille, depuis plusieurs comptes de plateformes d’échange centralisées. Selon lui, jusqu’à 118 millions d’euros auraient été dérobés puis retirés sous forme de stablecoins USDC et USDT.

Le même enquêteur estimait que l’absence de communication publique avait laissé à l’attaquant le temps de blanchir 30 millions de dollars avant le 3 novembre. Sans ce délai, les forces de l’ordre européennes auraient pu geler ces fonds.

Interrogée sur le chiffre de 118 millions d’euros, Crédit Mutuel Arkéa indique ne pas le confirmer et n’en valide que l’ordre de grandeur. Elle reconnaît un montant significatif et précise qu’une partie des fonds a été bloquée. BleepingComputer dit avoir sollicité la banque sur l’avancement de l’enquête, sans réponse au moment de sa publication.

Pas d’impact sur les avoirs des clients, selon la banque

Dans sa communication du 4 novembre, la banque affirme que l’incident est désormais clos et maîtrisé, et que ses services reviennent progressivement à la normale. Elle assure à l’ensemble de ses clients, dans toutes ses fédérations et filiales, que leurs avoirs ne sont pas touchés. Pour eux, la seule conséquence aurait été un retard dans l’exécution de certains virements.

Le risque qui demeure : l’hameçonnage

La banque signale un risque accru de hameçonnage à la suite de l’incident. Elle demande à ses clients de se méfier de toute sollicitation qu’ils n’ont pas demandée et de ne transmettre aucune information sensible par téléphone ou par courriel. En cas de doute sur un message, la consigne est de le vérifier en appelant directement son conseiller.

Un appel ou un courriel qui fait référence à cette attaque pour vous demander des informations personnelles ou bancaires relève exactement de ce cas : il se vérifie par ce canal, même s’il semble venir de la banque.

Les fonds détournés ne venaient pas des comptes des clients. Les tentatives d’escroquerie qui suivent souvent ce genre d’annonce, elles, s’adressent directement à eux.